Ein Resolver für Ihre Geräte, kein offener Verstärker.

Die Rolle wählen

Ein rekursiver Resolver wie Unbound und eine Filteroberfläche wie AdGuard Home lösen verwandte, aber unterschiedliche Probleme. Entscheiden Sie, ob der Dienst selbst rekursiert oder an einen Upstream weiterleitet, und verstehen Sie, welche Partei dann Abfragen sieht.

Halten Sie es privat

Ein uneingeschränkter öffentlicher Resolver kann für Reflection-Angriffe missbraucht werden. Binden Sie ihn an ein privates Netzwerk oder erlauben Sie nur autorisierte Quellen, einschließlich IPv6. Wenn Sie verschlüsseltes DNS verwenden, authentifizieren Sie den Zugriff oder beschränken Sie ihn anderweitig angemessen, statt anzunehmen, dass HTTPS ihn privat macht.

Legen Sie eine Protokollierungsrichtlinie fest

DNS-Abfragen können sensibles Browsing- und Anwendungsverhalten offenlegen. Deaktivieren Sie unnötige Aufbewahrung, schützen Sie die aufbewahrten Datensätze und erläutern Sie den Umfang gegenüber Nutzern. Verschlüsselter Transport schützt einen Pfad; er verhindert nicht, dass der Resolver selbst Abfragen sieht.

Mehr als einen Namen testen

Überprüfen Sie das DNSSEC-Verhalten, wo aktiviert, IPv4- und IPv6-Ergebnisse, Filterausnahmen und die Wiederherstellung, wenn ein Upstream ausfällt. Halten Sie einen sicheren Weg bereit, den Zugriff zu korrigieren, ohne ausschließlich vom Resolver abhängig zu sein, den Sie reparieren.

Stellen Sie sicher, dass Fremde sie nicht abfragen können

Binden Sie den Resolver an die vorgesehene Schnittstelle, definieren Sie die zulässigen Client-Bereiche und beschränken Sie die Firewall. Validieren Sie die Konfiguration vor dem Neustart. Fragen Sie ihn von einem autorisierten Client ab und wiederholen Sie dies von außerhalb des vertrauenswürdigen Netzwerks: Diese Anfrage sollte abgelehnt werden oder in einen Timeout laufen. Prüfen Sie IPv6 separat. Ein Resolver, der beliebige Internetabfragen annimmt, kann zu einer Quelle von Missbrauch werden.

• Führen Sie den Konfigurationsvalidator aus, bevor Sie Änderungen anwenden
• Testen Sie einen zulässigen Client und einen abgelehnten Client
• Halten Sie ausführliche Abfragediagnosen vorübergehend

unbound-checkconf

Offizielle Dokumentation: Ungebundene Zugriffskontrollkonfiguration

Halten Sie verschlüsselte DNS-Angaben präzise

DNS-über-HTTPS oder DNS-über-TLS verschlüsselt einen bestimmten Transportpfad. Der Resolver erhält die Abfrage dennoch, und ein weiterleitender Resolver kann sie an einen anderen Betreiber weitergeben. Prüfen Sie die Wahl des Upstreams und die Aufbewahrung. Wenn Sie einen verschlüsselten Resolver-Endpunkt bereitstellen, gestalten Sie dessen Zugriffsrichtlinie ebenso bewusst wie den gewöhnlichen DNS-Port.

Wählen Sie die Resolver-Kette, bevor Sie einen Port öffnen

Ein sinnvolles privates Design ist ein VPN-Client, der AdGuard Home abfragt, wobei AdGuard an Unbound auf dem Loopback weiterleitet. Unbound führt dann die Rekursion durch; AdGuard ergänzt Filterung und eine Verwaltungsschnittstelle. Alternativ verwenden Sie nur Unbound für einen kleineren Stack. Geben Sie jedem Listener eine eigene Adresse bzw. einen eigenen Port und zeichnen Sie die Weiterleitungsrichtung ein: Unbound zurück an AdGuard zu senden erzeugt eine Schleife. Legen Sie fest, welche privaten Clients den Dienst nutzen dürfen, bevor Sie etwas veröffentlichen.

• Halten Sie eingehendes öffentliches TCP und UDP 53 geschlossen, sofern keine spezifische Richtlinie für autorisierte Clients besteht.
• Geben Sie der Filteroberfläche und dem DNS-Listener getrennte Zugriffsregeln.
• Prüfen Sie die Portbelegung vor der Installation; ein vorhandener System-Resolver kann die vorgesehene Adresse bereits belegen.

Offizielle Dokumentation: AdGuard Home einrichten

Ein Loopback-Unbound-Ausgangspunkt

Auf einem System mit bereits installiertem Unbound veranschaulicht das folgende Fragment ein Backend, das nur auf dem Host erreichbar ist. Integrieren Sie es in die Distributionskonfiguration, statt Paketeinstellungen oder die Verwaltung von Trust-Anchors zu überschreiben. Der hohe Port ermöglicht es einem anderen DNS-Frontend, Port 53 zu verwenden. Validieren Sie die vollständige effektive Datei und laden Sie sie dann über den installierten Dienstmanager neu. Ein entfernter Client benötigt einen separat kontrollierten Tunnel oder ein Frontend; dieses Fragment erstellt bewusst keinen öffentlichen Resolver.

server:
  interface: 127.0.0.1
  port: 5335
  access-control: 127.0.0.0/8 allow
  access-control: 0.0.0.0/0 refuse
  access-control: ::0/0 refuse

# Validate the complete installed configuration:
unbound-checkconf

Offizielle Dokumentation: Unbound-Konfigurationsreferenz

Führen Sie eine Abnahmeprüfliste aus zwei Netzwerken aus

Fragen Sie zuerst das Backend lokal ab, dann den normalen Client-Pfad. Prüfen Sie gewöhnliche A/AAAA-Einträge, einen absichtlich nicht existierenden Namen und die DNSSEC-Validierung anhand einer dokumentierten Testdomain. Wiederholen Sie dies von einer Maschine außerhalb des erlaubten Subnetzes: Sie darf keine Rekursion erhalten. Prüfen Sie, ob ein Browser seinen eigenen verschlüsselten Resolver verwendet und den konfigurierten Geräte-DNS umgeht. Halten Sie während der Änderung einen temporären unabhängigen Resolver bereit, damit ein DNS-Fehler nicht Ihren Administrationsweg entfernt.

• Lokale Diagnose: dig @127.0.0.1 -p 5335 example.org A
• Prüfen Sie sowohl die UDP- als auch die TCP-Erreichbarkeit sowie IPv6-Listener.
• Bestätigen Sie Filterausnahmen und zeichnen Sie nur die tatsächlich benötigten Diagnosedaten auf.

Timeouts, Schleifen und Validierungsfehler diagnostizieren

Ein Frontend-Timeout bei funktionierendem lokalem Backend deutet auf die Frontend-Adresse, die Firewall oder das Weiterleitungsziel hin. Wiederholte selbstgerichtete Abfragen deuten auf eine Schleife hin. Weitreichende DNSSEC-Fehler können eine falsche Systemzeit oder die Pflege der Trust-Anchors betreffen; beheben Sie die Ursache, statt die Validierung deaktiviert zu lassen. Wenn nur große Antworten fehlschlagen, untersuchen Sie den TCP-Fallback und den Netzwerkpfad. Halten Sie die Abfrageprotokollierung temporär und testen Sie einen Neustart und eine Konfigurationswiederherstellung, bevor Sie den Resolver zur Abhängigkeit für jedes Gerät machen.